David Snead 谈 Secure Hosting Alliance 如何在主机行业建立信任与合作

[00:00:19] Nathan Wrigley：欢迎收听 WP Tavern 的 Jukebox 播客。我叫 Nathan Wrigley。

Jukebox 是一档专注于 WordPress 各项内容的播客，涵盖人物、事件、插件、区块、主题；在本期节目中，我们还会讨论如何借助 Secure Hosting Alliance 在托管服务行业建立信任与合作。

如果你想订阅本播客，可以在所选的播客应用中搜索 WP Tavern，或者访问 wptavern.com/feed/podcast，并将该网址复制到大多数播客应用中。

如果你有希望我们在播客中专题介绍的话题，我非常乐意倾听，也希望能让你或你的想法登上节目。请前往 wptavern.com/contact/jukebox，并使用其中的表单。

本期播客的嘉宾是 David Snead。David 自 1999 年起便参与托管服务行业，最初担任一家最早的共享托管公司之一的法律顾问，后来又与 50 多家其他公司合作。他帮助创立了 i2Coalition，担任过 cPanel 和 WebPros 的内部法律顾问，如今领导着 Secure Hosting Alliance。

如果你正在收听这档播客，我相信许多人都曾与托管服务公司密切合作。或许你经营着一家代理机构或企业，依赖托管服务商的可靠性、道德规范与安全性。David 今天将探讨托管服务领域跨行业合作，具体围绕提升安全性、专业性，以及主机服务商之间的沟通。

这次对话重点讨论了 Internet Infrastructure Forum（简称 IIF）为何以及如何构建实时情报共享与滥用举报框架，旨在帮助整个生态系统比对手适应得更快地发现和阻止攻击。

David 谈到了托管服务公司，尤其是小型公司，在跟上安全要求方面所面临的挑战，以及这个不断发展的项目如何通过在注册商、托管服务商、DNS 服务商等各方之间共享切实可用且非专有的滥用信息，来缓解这些难题。

他讨论了 Secure Hosting Alliance 和 IIF 的发展、协作的商业理由，以及跨境共享法律与技术信息时存在的细微差异。

如果你从事托管服务、经营网络代理机构，或者只是想了解网络骨干如何运作以变得更加安全与互联，本期节目正适合你。

如果你想了解更多，可以前往 wptavern.com/podcast 查看节目说明中的所有链接，那里也收录了其他所有单集。

那么，闲话少说，下面请听 David Snead 的分享。

今天我邀请 David Snead 参加播客。你好，David。

[00:03:20] David Snead：你好。

[00:03:21] Nathan Wrigley：很高兴邀请你来到节目。David 的经历非常有意思，而且他参与的项目也很有意思——我想用“项目”这个词，不知道是否准确。它感觉比项目更加扎实，也有着丰富得多的历史。总的来说，我认为它正在发展，但我们稍后会进一步了解。这个项目关乎整个托管服务行业，主要是为了让主机服务商今后能够以某种方式相互沟通。

[00:03:44] David Snead：这是一部分。实际上有两个目标，一个是提升托管行业的道德水准和专业性。另一个是促进托管服务商之间更多的友谊和互动。大家觉得，这种氛围在 2000 年代初曾经存在过，但随着随后发生的行业整合，这种氛围消失了。因此，这也是我们正在努力促成的目标。

[00:04:16] Nathan Wrigley：好。既然我们要谈托管，我想最好先亮明你的资历，再让我们稍微了解一下你。就请你简短介绍一下自己，以及你在 WordPress 和托管方面的背景。

[00:04:29] David Snead：当然。我从 1999 年起就在托管行业工作。正如我经常说的，我进入托管行业的时候，托管还很酷。现在已经没那么酷了。事实上，大多数人都不太关注这一行。

你知道，我最初是一家托管公司的律师，还曾担任一家公司的内部法务，而那家公司实际上拥有一家托管公司，并且是最早专门从事共享托管的公司之一。所以我担任他们的总法律顾问。不知怎么，这份工作就一直延续了下来，我也就顺势把它当成了一项职业。

后来，我以律师身份开了自己的事务所，与大约 50 家不同的托管公司合作，主要是起草那些从来没人会读的政策，所以我在派对上可有趣了。

之后，我的朋友 Christian Dawson 和我创立了 i2Coalition，以回应美国的一些立法，那些法案可能会成为互联网服务商的丧钟。于是我们创立了 i2Coalition。后来我进入 cPanel 担任内部法务，在 cPanel 和 WebPros 工作了 10 年，之后创立了 Secure Hosting Alliance。

[00:05:52] Nathan Wrigley：好。你基本上掌握了这方面的全部历史，很不错。你知道，既然我们要谈托管……

[00:05:57] David Snead：整个托管行业的历史都集中在一个人的身上。这个想法是不是有点可怕？

[00:06:02] Nathan Wrigley：但这也很棒。你现在还提供法律咨询吗？你没有转而每周花一半时间从事更偏技术性的工作，对吧？你现在参与的仍然是法律方面。

[00:06:13] David Snead：是的。现在我主要做并购业务，这事挺奇怪的。我不知道以前有没有人跟你说过，但网站托管有点像《Hotel California》。一旦进入网站托管行业，就再也出不去了。所以，我现在还有一些 15 年前的客户，他们如今都在经营规模尚小的托管公司。他们一边和大公司商谈，一边又希望被收购。因此，我现在也参与其中一些工作。我已经不再起草那些没人会读的政策了，因为我干这个干得太久了。

[00:06:51] Nathan Wrigley：派对上的糟糕时刻实在太多了。

[00:06:53] David Snead：没错，完全正确。

[00:06:55] Nathan Wrigley：好，我现在宣读一下你正在准备或已经完成演讲的标题和简介。

[00:07:02] David Snead：我昨天刚做完。

[00:07:03] Nathan Wrigley: 好的，我们稍后会谈到这一点。所以标题是“协调应对、跨行业协作”，简介如下：WordPress 托管威胁会跨越公司界限。当一家提供商成为受害者时，整个生态系统都会受到影响。本次会议将探讨互联网基础设施论坛（IIF）如何通过实时情报共享，让托管提供商、注册商和注册局协调应对滥用行为。了解运营协作如何帮助负责任的运营方比对手更快地调整策略、检测并阻止攻击，以及为什么携手合作能够取得任何单一提供商都无法独自实现的成果。

当我读到这段话时，我立刻想到：是的，这是一个非常合理的主意。为什么各家托管公司——我说“我们”，也就是这些托管公司——要各自一遍又一遍地做同样的工作？毕竟，这部分工作，也就是安全方面，是它们共同拥有的。

[00:08:05] David Snead: 对吧？这正是最根本的问题，对吗？IIF 是一个自愿组织，由基础设施栈中的各方组成。无论是注册商、注册局、DNS 提供商、托管提供商、云提供商，还是基础设施栈中的其他参与者，都加入了其中。该组织由 Internet and Jurisdiction Foundation 协助运作。他们总部位于巴黎，实际上担任该组织的秘书处。

它的设计目标是建立一种通用机制，让基础设施栈中的各方共享有关滥用行为和滥用问题的信息。你提到的一个根本问题是，每个人都在各自为政，对吗？这在很大程度上是因为互联网就是这样构建的，对吗？

互联网采用分布式架构，对吗？注册商和注册局基本各自负责域名相关的工作。他们可能有一些托管业务或云业务，但总体而言，他们所做的只是域名相关的事。

托管提供商或许会转售域名，但并不属于注册和注册局行业。那么，他们如何协调？这正是 IIF 试图促进的事情，即让参与者之间共享更多信息。

[00:09:39] Nathan Wrigley: 我想，有些托管公司可能已经做得相当不错。你知道，它们拥有庞大的客户群。假设那边有一家 X 托管公司，它有数百万客户，还有充足的预算可以投入安全之类的事情。这些当然都很好，很棒。但另一些公司就资源紧张得多。你知道，它们可能只有几千名客户。因此，用于同样这项工作的预算也会相应减少。

这项工作将如何运作？它基本上会是一项订阅服务吗？你们会设立某种会员制度，而会员费在某种程度上会与客户数量挂钩吗？会不会有某种预期，比如：“好吧，我们会查看你们的营收，你们的会费相当于营收的一定百分比”？这一切将如何运作？

[00:10:20] David Snead: 我们还不清楚。这是一个非常早期的项目。目前我们正处于原型阶段，刚刚弄清楚大家应该向秘书处提交哪些信息。

其运作方式是，针对某个具体的滥用问题，你将收集到的信息提交给秘书处，秘书处会将其与其他所有已提交的信息整合后，再发送给相关人员。

一个很好的例子是，假设某个注册商报告了一个钓鱼域名。他们会关闭该钓鱼域名，并可能掌握一个时间戳，以及提交该域名时所用的 IP 地址。他们将这些信息提交给秘书处，秘书处随后会找到提供托管服务的托管公司，并告知对方：大约在这个时候出现了这个特定站点上的问题。你们能对此采取行动吗？运作方式就是这样。

目前仍处于非常早期的阶段。它正处于测试的第一阶段，我们将考察我们设计的架构，或该团队设计的架构，是否真正合理。

[00:11:39] Nathan Wrigley: 那么，这会是一种循序渐进引入的方式吗？先在初期引入少数几家公司，希望如此。然后再加入一两家公司，解决其中存在的问题，然后再逐步加入更多公司。因为我设想，如果直接全面启动，让所有人都参与，那时就可能出很多问题。我猜这会是一种更为缓慢的推进方式。

[00:12:00] David Snead: 你恰好指出了我对 IIF 最不满意的地方，也就是秘书处为什么推进得如此缓慢，对吧？幸运的是，或者不幸的是，鉴于我的文化背景，我坐在这里只会想：这需要加快速度。我们需要让所有人都参与，需要所有托管商参与，也需要所有注册商和注册管理机构参与。而其他一些在这方面更有经验的人则会说，不，我们需要先弄清楚自己在做什么，而这只需要少数几个人参与。

我们目前所處的阶段，是在寻找更多愿意坐下来参与讨论的人，尤其是托管行业以及网页设计和营销行业的人。这些人通常不会参与这种行业主导的协作活动。因此，我来到 WordCamp，就是想与网页设计师、营销代理机构交谈，说明他们为什么应该参与类似这样的活动。

[00:13:13] Nathan Wrigley: 所以，这实际上并不与 WordPress 绑定，对吧？只是恰好 WordPress 占据了互联网相当大的一部分，所以这里是个很好的起点。但假设你恰好是 Drupal 用户，或者喜欢编写 PHP 代码之类的，无论你使用什么，这仍然适用。这其中并没有真正的 WordPress 层面。这里之所以是个适合你加入的地方，只是因为，怎么说呢，外面大概有 30 家托管商，就在我们不到 100 码远的地方。

[00:13:37] David Snead: 我知道。而且我还没有见过他们所有人。

[00:13:39] Nathan Wrigley: 是的，还有工作要做。不过基本上，它不依赖任何特定平台。

[00:13:42] David Snead: 是的，它完全与平台无关。

[00:13:43] Nathan Wrigley: 好的。好的，这很有意思。不过，WordPress 确实是个很好的起点。

现在，我设想一下，如果我是一家托管公司，而且我是首席执行官，我肯定会向你提出一些问题：好吧，我们要把宝贵的情报分享给你，你打算怎么利用它？我们怎么信任你？我们怎么知道这些信息会被有效分享，以及你究竟有什么……

所以，我想我真正想说的是，归根结底，你希望最终能够向托管方提供哪些保障或制衡机制？你能否向他们保证：看，如果你把这批工作成果交给我们，就不必再为此操心。你可以信任我们会以符合荣誉、有效且协作的方式完成。你明白重点在哪里。

[00:14:26] David Snead: 是的，是的。我怀疑你可能曾经想当律师，因为这正是我们面临的问题之一。例如，在美国可以自由共享的信息，在欧盟、巴西、印度或其他地方可能无法如此自由地共享。

因此，目前正在做的事情之一，不是我做的，而是由另一个团体、这个项目下属的另一个工作组负责，那就是分析信息共享相关的法律问题。

为回答专有信息和保密信息这一问题而共享的信息，并不是专有或保密信息。它只是初始滥用举报中的时间戳、域名、IP 地址之类的信息。这些信息确实不会表明存在某种公司机密信息。此外，这些信息还会进一步抽象为 xarf，这是一门用于滥用报告、我们所有人都可以共享的语言。因此，我认为唯一值得关注的是，这些信息是否属于个人信息，以及是否受到世界各地司法辖区的限制。

[00:15:48] Nathan Wrigley: 这个组织会负责补救工作吗？比如说，假设那边某家托管公司 A 发现了某种安全问题，然后他们把相关情报与你分享。也许这个问题有点在问：你们随后会指派人员来研究相应的补丁是什么？还是说你们的想法只是：哦，标记一下，我们发现了这个问题，现在大家都知道了。这只是信息共享，而不是修复？

[00:16:17] David Snead: 是的，是后者。因此，我们目前要解决的问题是，我们只是在测试一种滥用问题，即与假网店有关的问题。所以，假网店问题就是该项目的测试滥用问题，也是大家分享信息所针对的特定问题。目前，这个问题特别涉及凭据收集。因此，这就是我们正努力研究的内容。

[00:16:43] Nathan Wrigley: 那么，到目前为止你进行的这些对话进展如何？反响是否积极，还是你遇到了一些反对意见？

[00:16:50] David Snead: 好吧，我跟你直说。如果某件事并非直接威胁到他们，他们很难理解自己为什么应该参与。实际上，对于这个问题，我相当习惯于根据我与 i2Coalition 开展的政治工作来作答。但一旦谈到——我们以假网店为例——你向假网店提供服务，实际上会直接影响你的利润。

所以，如果假设你为某个运营虚假商店的实体提供支付处理服务，这很容易让你的信用卡处理费用增加。它最终会消耗带宽，并加重你处理滥用事件的资源负担。

你最初提到的一点是，大型主机服务商很有钱。我不会说它们很有钱，但它们有更多带宽来应对大量滥用问题。大多数较小的托管公司每月可能只会收到五六起滥用事件。但如果你有一个虚假商店，就会产生大量滥用报告，并占用你本可用于发展业务的资源。因此，从商业角度出发的这一论点，实际上相当有说服力，能促使人们关注这个问题。

我发现，围绕滥用问题展开商业层面的讨论，比道德层面的说服更有吸引力。我不认为道德说服在一个正努力维持生计的社区中会奏效。

[00:18:42] Nathan Wrigley: 刚才你说的内容让我觉得——也许是我过度解读了你的话——似乎较小的托管服务商从一开始就是一个合适的目标受众，因为它们自身可用的带宽可能更少，因此也会更愿意接受任何能减轻共享这些信息负担的方案。所以，10 家小型托管服务商加在一起，规模当然远大于每一家单独的力量。不过，我想你得先让足够多的托管服务商加入，达到临界规模，之后或许一些大型托管服务商才会开始以更积极的眼光看待你，可以这么说吧。

[00:19:15] David Snead: 嗯，我们确实有一些大型托管公司参与其中。例如，GoDaddy 和 Newfold 都在参与。不过我们也有较小的托管服务商。但我同意你的看法，所提供的信息——尤其是这些切实可行、符合现实且能够针对定制系统进行调整的信息——是无价的，对吧？

假设你每月只收到五六起滥用投诉，而当收到一起投诉时，你可以找到秘书处，说我们收到了一份关于这个域名的投诉，秘书处就会告诉你：注册商做了什么，Cloudflare 做了什么，以及他们提供给我们的信息。你可以利用这些信息决定如何处理这个问题。这能为你省下数小时又一个多小时的研究时间。

[00:20:09] Nathan Wrigley: 从技术角度来说，向你提供信息以及从你那里获取信息的渠道会是什么样？假设我是 X 托管公司，你设想我会怎样向你提供这些信息？但同时，如果我只是每天、每周或以其他周期从你这里获取信息，我该如何接收？这是一个网站、一个 API，还是其他什么形式？

[00:20:33] David Snead: 是一个 API。也就是一个文件，只是普通的文件下载。

[00:20:37] Nathan Wrigley: 好的。也就是说，可以随时获取？

[00:20:40] David Snead: 对。这是目标。现在还做不到，但目标是设法实现类似的功能。

[00:20:47] Nathan Wrigley: Yeah, okay. I also suppose that the hosting companies, whilst this is good for their business if they can minimise costs and hand a lot of this work over to you, there’s a part of them which would also probably like to put some sort of badge on their website to say, this is what we’re doing. We’re part of this alliance, for want of a better word. Is that something that you are looking to develop as well, you know, some sort of credentialing system to demonstrate that you’re in this?

[00:21:12] David Snead: So that’s not something that the IIF is working on. It’s something that the Secure Hosting Alliance does. The Secure Hosting Alliance has a trust seal that we give to hosts who fulfil our Trust Seal Certification provisions. But that’s not something that the IIF does.

Talking about like why, other than business reasons, folks should participate in this, one of the things that is going on that I would suggest that most hosts know about, is there’s a little bit of a moral panic going on in the world about what contents you have. And regulation is actually a very real thing for the hosting industry, who has not ever been regulated. This is the time where you can say, hey, this is what we’re doing, right? We’re dealing with issues. This way a trust seal is the same thing, right? It’s something that you can say, we are actually taking steps to make the internet a better place.

[00:22:18] Nathan Wrigley: I think if you are a general agency owner or, I don’t know, just a freelancer, hosting is one of those things that you, once you’ve done it once, you’re in it for the long haul until something goes wrong. But you’re also browsing around for any tiny indication of why is this host slightly different? You know, what is it that they’re doing that, I don’t know, is faster? What is it that they’re doing that’s more secure? So it feels to me if you had a credentialing system and I began to hear about it and see it pop up again and again, it would be one of the metrics which I would weigh up when looking at hosting.

[00:22:51] David Snead: I would think so. One of the things that a trust seal does is it indicates that there’s been some vetting of the host. That someone has determined the things that are important to the hosting industry and are important to the web design industry. The agency industry are also important to the host.

Great example of that is one of the provisions of the Secure Hosting Alliances’ Trust Seal Certification is that a contract is presented to the customer before they sign up, which is super customer friendly.

One of the things as a lawyer that you hear about all the time when people are dissatisfied with their services is, yeah, well, I never saw that contract. Or it was just a hyperlink in an email that I got. That’s one of the differentiators for a Trust Seal certified host is that the contract is actually presented to them, to the customer beforehand.

[00:23:57] Nathan Wrigley: So in terms of the WordPress crowd, is this a thing that you are pitching only to hosts? Like when you step out of here, are you trying to have conversations only with hosts? Or is there some bit of the WordPress community, the freelance, the agency owners? Are you trying to communicate with them just to scope out what they need?

[00:24:15] David Snead: 无论是 Secure Hosting Alliance 还是 IIF，情况都是如此。我很享受与各机构开发商交流这对他们是否重要，或者为什么这对他们可能很重要。

[00:24:31] Nathan Wrigley: 就这个项目已经开展了多久而言，我之所以听说它，只是因为你参加了这次活动；但我不知道你敲响这面鼓已经十年了，还是说，你在这个行业待的时间足够长，已经敲了几十年。这是一个新倡议，还是一项历史悠久、成就斐然的工作？

[00:24:49] David Snead: Secure Hosting Alliance 才成立一年多一点。我谈论滥用问题已经很久了，但 Secure Hosting Alliance 仅仅存在了一年。

[00:25:01] Nathan Wrigley: 在这一年里，你是否有一种直觉，认为明年你还会在这里？它总体上是否走在正确的方向上？

[00:25:09] David Snead: 它确实走在正确的方向上。我们最初只有两三家创始成员，现在已有 25 家托管服务会员。我们还有三家安全厂商会员。我想，我们还有 17 家获得 Trust Seal 认证的会员，并且将在 2027 年推出一项面向为托管服务公司提供服务的安全厂商的信任标志认证。

[00:25:40] Nathan Wrigley: 我知道有几家托管服务公司的老板会收听这档播客。他们很可能就是你之前已经交流过的人；但如果还没有，而且他们希望进一步了解这件事，我想他们心里会想：好吧，Nathan 和 David 已经解释了加入后能得到什么，那么我需要投入什么？这是按年作出的财务承诺吗？具体是如何运作的？

[00:26:02] David Snead: 是的，你要成为 i2Coalition 的成员。Secure Hosting Alliance 是 i2Coalition 下的一个工作组。因此，你会成为普通成员，并参与 Secure Hosting Alliance 的各工作组。你也可以参与 i2Coalition 的整体活动；这是一个规模大得多的行业协会，代表着互联网基础设施领域几乎所有从业者。它主要从事政策工作，重点是美国和欧盟。不过，我们目前也在印度开展一些工作。

[00:26:40] Nathan Wrigley: 成为会员是否意味着你可以引导这个项目的未来？我知道，厨房里厨师太多会做出糟糕的饭菜，但我担心这种情况也可能发生。你有 87 名成员，后来变成 260 名成员。接着这 260 名成员开始争论不休，诸如此类；有人说我们要这个，有人说不要。你看，事情就会变成这样。

[00:26:59] David Snead: 确实如此。

[00:26:59] Nathan Wrigley: 在这方面是怎样的安排？也就是说，会员资格是否设有不同的准入层级？你们是如何组织和管理这些的？

[00:27:04] David Snead: 并没有。会员资格以自行申报的收入为依据。在我看来，会员费并没有高得离谱。我想，大多数会员都会说，实际上这相当负担得起，尤其是对中小型托管商、注册商或设计机构，以及任何参与其中的人来说。

关于谁在主导大局的问题经常被提起。我们其实没有真正遇到这类问题，尤其是在 Secure Hosting Alliance 中。大家似乎相处融洽。但该组织的运作理念是形成大致共识。因此，决定最终不会由某一个成员单独控制。i2Coalition 中有一些大家都知道的大型公司，它们与初创公司相处融洽，也能与作为直接竞争对手的公司和谐共事，而政策仍能制定，组织仍能继续推进。

[00:28:11] Nathan Wrigley: 是的，我猜你所处的领域显然是这样：从商业角度看，所有这些托管公司都在争夺其他人的业务。但在这个特定情形中并非如此。没有人希望对方的网站安全性更低。他们都希望达到同等的安全水平。所以至少在这个意义上，即使在商业上针锋相对的两家公司，或在场的 10 家公司彼此存在商业分歧，你也希望共识仍能维持。至少在这个问题上他们能够达成一致。我想，无论如何，这应该是可以期待的。

[00:28:47] David Snead: 似乎这不仅是期望，而是事情实际运作的方式。你问是如何达成妥协的。让我想到的是，我对隐私的看法与 i2Coalition 中的其他人差别很大，尤其是在我任职 WebPros 期间。后来另一家公司给我打了电话，我们讨论并解决了关于应如何处理 i2Coalition 内隐私问题的分歧，并得以继续推进。

我发现这个行业非常注重协作，尤其是托管行业。每个人都知道竞争对手在做什么。但当涉及处理某个问题，例如我们这个社群将如何应对滥用时，大家就会聚到一起。托管公司的 CEO 们虽然在商业上相互竞争，却往往是相当要好的朋友。

正如我一开始说的，这真的很像《加州旅馆》，对吧？你以托管公司 CEO 的身份进入，发展壮大后把公司卖给另一家公司。突然间，你又回到了起点，服务器放在奶奶家的地下室里，你知道，又得重新开始。

[00:30:08] Nathan Wrigley: 这真是一项很特别的努力。我想，整期播客的核心归根结底是你希望发出声音、主动接触并促成一些对话。带着这样的想法，人们在哪里可以找到这方面的信息？也许我们可以提一个网站。但是否有一个特定的地方是你经常活跃的？你希望别人最在哪里联系你？

[00:30:33] David Snead: 当然。我们的网站是 hostingsecurity.net。我不太担心会收到太多垃圾邮件，所以大家可以给我发邮件，地址是 snead@i2coalition.com。第二个字母是数字 2，所以是 snead@i2coalition.com。我很乐意回答问题。

说到经常活跃的地方，我会参加托管行业的大多数行业会议。在 WordPress 行业，我会参加 WordCamp US。我们也深度参与 ICANN 的工作，所以每一次 ICANN 会议都有 i2Coalition 的成员出席。

[00:31:12] Nathan Wrigley: 所以，如果你访问 wptavern.com，搜索 David Snead，S-N-E-A-D 那一期节目，就能找到这些详情。我会把所有信息放进节目说明中。那么，还有什么是我们漏掉的吗？有没有某个我们没有谈到的重点？

[00:31:26] David Snead: 不，这是我最近参加过的最深入细致的播客节目之一。

[00:31:31] Nathan Wrigley: 很高兴听到你这么说。那么，David Snead，非常感谢你今天参加节目。

[00:31:35] David Snead: 很高兴来到这里。感谢你的邀请。